Antiscan - выявление и блокировка подозрительных IP

[roma33region]

скажите пожалуйста если я в список /geo/BY добавлю свои подсети при обновлении файла они сотруться ? просто загружаеться база но там нет 37.214 нужной подсети страны BY когда смотрю через 2ip.ru там эта подсеть существует. а так можно добавить в исключение 

ASN:	6697

Изменено 27 июля пользователем roma33region

[dimon27254]

14 минут назад, roma33region сказал:

скажите пожалуйста если я в список /geo/BY добавлю свои подсети при обновлении файла они сотруться ? просто загружаеться база но там нет 37.214 нужной подсети страны BY когда смотрю через 2ip.ru там эта подсеть существует. а так можно добавить в исключение 

Свои подсети добавлять в файлы со списками геоблокировки нельзя. Они будут удалены при автообновлении.

Добавьте нужную вам подсеть в список исключений. Или же, найдите список всех подсетей, которые принадлежат приведенной вами ASN, и также их добавьте в исключения.

[roma33region]

1 минуту назад, dimon27254 сказал:

Свои подсети добавлять в файлы со списками геоблокировки нельзя. Они будут удалены при автообновлении.

Добавьте нужную вам подсеть в список исключений. Или же, найдите список всех подсетей, которые принадлежат приведенной вами ASN, и также их добавьте в исключения.

понял,спасибо большое,респект и уважение.

[roma33region]

 ненаходит токен 5.2.Alpcha3 Hoper-se

Изменено 31 июля пользователем roma33region

[dimon27254]

1 минуту назад, roma33region сказал:

ненаходит токен 5.2.Alpcha3 Hoiper-se

Вы его должны сначала самостоятельно создать.

Информация по работе с токенами приведена здесь:

 

 

[roma33region]

24 минуты назад, dimon27254 сказал:

Вы его должны сначала самостоятельно создать.

Информация по работе с токенами приведена здесь:

 

 

Спасибо огромное,респект и уважение .

Изменено 31 июля пользователем roma33region

[roma33region]

подскажите как отсюда удалить заблокированный IP ? 

[roma33region]

всё разобрался спасибо

[dimon27254]

Новая версия 1.10.6.

Новое:
1. Строгая проверка ascn.conf и ascn_crontab.conf по белому списку параметров и задач.

Ограничена возможность ввода излишних или некорректных значений, которые могли бы привести к некорректной работе Antiscan или среды Entware. Введена жесткая проверка на набор и количество символов.

Значения всех параметров в конфиге теперь заключены в кавычки. При обновлении ваш конфиг будет автоматически скорректирован для соответствия новым требованиям - будут добавлены кавычки в значения параметров, которые их не имеют.

Если вы самостоятельно импортируете конфиг из предыдущих версий (вставите содержимое из резервной копии или замените файл) - он может не пройти проверку, и работа Antiscan будет заблокирована.

В случае возникновения проблем с вашим конфигом или списком задач - пишите в этой теме или мне в личные сообщения.

Улучшения:
1. Оптимизирована работа с токенами доступа.
2. Повышена надежность алгоритма онлайн-проверки обновлений Antiscan.

[kaguyashaa]

Приветствую, имею давно уже проблему:
Примерно раз в две недели antiscan завершает работу или падает и вручную не поднимается, ну или точнее включается раз в час и сразу же падает и так продолжается каждый час пока руками не выключишь его и не включишь снова. Только после этого всё работает

[dimon27254]

14 часов назад, kaguyashaa сказал:

Приветствую, имею давно уже проблему:
Примерно раз в две недели antiscan завершает работу или падает и вручную не поднимается, ну или точнее включается раз в час и сразу же падает и так продолжается каждый час пока руками не выключишь его и не включишь снова. Только после этого всё работает

Приветствую! Как выглядит "падение" Антискана?

[kaguyashaa]

11 часов назад, dimon27254 сказал:

Как выглядит "падение" Антискана?

Покопался немного
Я был не совсем корректен
Сам антискан работает, не работает геоблокировка

NC-1812
5.1.4 NDMS

Версия Antiscan:        1.10.6
Статус:                 работает
Заблокировано адресов:  40
Заблокировано подсетей: 206
Заблокировано ловушкой: 1651
Заблокировано NDMS:     1
Список исключений:      15 записей
Черный список:          34400 записей
Режим геоблокировки:    не работает
Страны геоблокировки:   UA PL CN IN
Исключения по странам:  RU BY

В /tmp появляется файл с ascn_geo_load_error

 cat /tmp/ascn
ascn.conf.tmp        ascn.run             ascn_geo_load_error  ascn_rci.json        ascn_rci_auth        ascn_update.json

Добавлю, руками рестарт лечит всё

 antiscan restart
Antiscan остановлен
Загрузка списка подсетей для страны UA... успешно
Загрузка списка подсетей для страны PL... успешно
Загрузка списка подсетей для страны CN... успешно
Загрузка списка подсетей для страны IN... успешно
Удаляем задачу повторного обновления списка подсетей...
Загрузка списка подсетей для страны RU... успешно
Загрузка списка подсетей для страны BY... успешно
Antiscan запущен

 

Изменено 1 сентября пользователем kaguyashaa
Добавка

[dimon27254]

18 минут назад, kaguyashaa сказал:

Покопался немного
Я был не совсем корректен
Сам антискан работает, не работает геоблокировка

Проверьте, пожалуйста, лог роутера на предмет наличия каких-либо ошибок от Антискана и curl, и пришлите лог в личные сообщения. У вас имеется какая-то проблема с загрузкой списков подсетей.

Изменено 1 сентября пользователем dimon27254

[kaguyashaa]

12 минут назад, dimon27254 сказал:

Проверьте, пожалуйста, лог роутера на предмет наличия каких-либо ошибок от Антискана и curl, и пришлите лог в личные сообщения

Я боюсь не смогу выловить в самом netcraze, из-за wireguard там весь лог скорее мусор, если скажите домены или ключевые слова нужно то поищу в суслог сервере

[dimon27254]

Только что, kaguyashaa сказал:

Я боюсь не смогу выловить в самом netcraze, из-за wireguard там весь лог скорее мусор, если скажите домены или ключевые слова нужно то поищу в суслог сервере

Источник у всех сообщений один единственный: Antiscan.
Можете по нему сделать фильтрацию.

[odin2]

просьба к разработчикам 
переставить правила iptables из цепочки :

INPUT в _NDM_INPUT

FORWARD в _NDM_FORWARD

зачем ?

для того чтоб обезопасить себя и служб netcraze/keenetic от бана снаружи 
а так же ускорить работу фаервола тем чтоб фильтр применялся только к НОВЫМ ОТФИЛЬТРОВАННЫМ соединения

а сейчас правило реагирует на каждый пакет потому что стоит перед правилами 

-A INPUT -d 224.0.0.0/4 -p udp -j _NDM_MULTICAST_INPUT # широковешалка
-A INPUT -p igmp -j ACCEPT
-A INPUT -j _NDM_ACL_IN_EXCEPTIONS
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения
-A INPUT -i lo -j ACCEPT
-A INPUT -j _NDM_BFD_INPUT
-A INPUT -j _NDM_ACL_IN
-A INPUT -j _NDM_IPSEC_INPUT_FILTER
-A INPUT -j _NDM_TUNNELS_INPUT
-A INPUT -m state --state INVALID -j DROP # откинуть испорченные
-A INPUT -m conntrack --ctstate DNAT -j ACCEPT

я в своём решении portknok именно так и сделал

 

а также назвать цепочки _ANTISCAN
как у _NDM для удобства 

Изменено Понедельник в 09:41 пользователем odin2

[dimon27254]

8 часов назад, odin2 сказал:

росьба к разработчикам 
переставить правила iptables из цепочки :

INPUT в _NDM_INPUT

FORWARD в _NDM_FORWARD

зачем ?

для того чтоб ускорить работу фаервола тем чтоб фильтр применялся только к НОВЫМ соединения

а сейчас правило реагирует на каждый пакет потому что стоит перед правилами 

Правила Антискана будут "реагировать" только на пакеты, которые соответствуют всем критериям:

1. Соответствие интерфейсу.

2. Соответствие протоколу.

3. Соответствие списку портов.

Во всех остальных случаях пакеты проходят "мимо", даже не попадая в цепочки ANTISCAN/ANTISCAN_HONEYPOT на обработку ядром.

Вмешиваться в системные цепочки _NDM_* я считаю неуместным.

8 часов назад, odin2 сказал:

а также назвать цепочки _ANTISCAN
как у _NDM для удобства 

Это исключительно визуальный нюанс, который на функциональность как-либо не влияет. Переименовывать не буду.

[odin2]

здесь ключевое правило

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения

оно разгружает тем что пропускает пакеты уже установленных соединений
то-есть 99% трафика заканчивается на этом правиле
если вы начнёте что-то активно прогонять через роутер, даже внутри роутера на lo, то ваш проц напряжётся проверяя КАЖДЫЙ , КАРЛ, пакет ВСЕХ соединений.
потому что будет всегда срабатывать одно ваше правило (этого достаточно), проверка на интерфейс, даже не заходя в цепочки, но будет 100% выполнятся

как раз в цепочке INPUT  стоят "классические/стандартные правила" и вот их как раз таки не стоит трогать, иначе можно "выстрелить себе в ногу" 

по этому рекомендую фильтрацию уже после "классических/стандартных правил"

_NDM_FORWARD просто поинтересуйтесь составом этой цепочки там всего одно правило перехода на следующую цепочку
явно специально заготовленная цепочка - местодержатель, для таких случаев как здесь
с _NDM_INPUT думаю также, хотя там правил по более

зачем вам реагировать на широковещалку ?
а проц будет нагружатся

или например обращение на обратную петлю (lo) зачем фильтровать ?
а проц будет нагружатся

да не много нагружаться, но при большом трафике может с играть роль

просто надо держать тонкий баланс между паранойе и производительностью (здравым смыслом), доверяйте фильтрам от NDM

Изменено Понедельник в 08:52 пользователем odin2

[MDP]

26 минут назад, odin2 сказал:

 

просто надо держать тонкий баланс между паранойе и производительностью (здравым смыслом), доверяйте фильтрам от NDM

а какие фильтры у NDM на входящий трафик?

 

[odin2]

4 минуты назад, MDP сказал:

а какие фильтры у NDM на входящий трафик?

 

 

Цитата

-A INPUT -j _NDM_ACL_IN_EXCEPTIONS
-A INPUT -j _NDM_BFD_INPUT
-A INPUT -j _NDM_ACL_IN
-A INPUT -j _NDM_IPSEC_INPUT_FILTER
-A INPUT -j _NDM_TUNNELS_INPUT

почитайте названия цепочек, что напоминает ?

Изменено Понедельник в 08:43 пользователем odin2

[MDP]

Только что, odin2 сказал:

-A INPUT -j _NDM_ACL_IN_EXCEPTIONS
-A INPUT -j _NDM_BFD_INPUT
-A INPUT -j _NDM_ACL_IN
-A INPUT -j _NDM_IPSEC_INPUT_FILTER
-A INPUT -j _NDM_TUNNELS_INPUT

почитайте названия цепочек, что напоминает ?

Они же из коробки пустые? Если я не ошибаюсь

[odin2]

13 минут назад, MDP сказал:

Они же из коробки пустые? Если я не ошибаюсь

ну и пусть, зачем то же они там стоят ?

и даже не важно что они там стоят
потому что 99% трафика прекращает фильтроваться на правиле --state RELATED,ESTABLISHED -j ACCEPT 
и только всё остальное имеет смысл фильтровать

Изменено Понедельник в 08:59 пользователем odin2

[odin2]

я на микротиках вообще в таблице RAW блокирую обнаруженные сканеры - чёрный список
но только при наличии белого списка
и белый список стоит первым
потому что я могу своими тестами себя загнать в чёрный список
так что вот так

важный нюанс 

в белом списке должен быть шлюз провайдера
потому что злоумышленники могут провести атаку с обратным адресом шлюза и у вас частично отвалится интернет, а вы долго не сможете понять почему так.

Изменено Понедельник в 09:40 пользователем odin2

[liliput-liliout]

23 часа назад, odin2 сказал:

здесь ключевое правило

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения

просто надо держать тонкий баланс между паранойе и производительностью (здравым смыслом), доверяйте фильтрам от NDM

Насколько я понимаю код antiscan открыт и общедоступен, может быть эффективнее было бы предложить автору MR?

[odin2]

40 минут назад, liliput-liliout сказал:

предложить автору MR?

уточняю, это ко мне предложение ?
я не в курсе что такое MR
у себя на роутерах я подправил правила и имена цепочек
просто хотел улучшить сам проект

[dimon27254]

В 12.10.2026 в 15:11, odin2 сказал:

здесь ключевое правило

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения

оно разгружает тем что пропускает пакеты уже установленных соединений
то-есть 99% трафика заканчивается на этом правиле
если вы начнёте что-то активно прогонять через роутер, даже внутри роутера на lo, то ваш проц напряжётся проверяя КАЖДЫЙ , КАРЛ, пакет ВСЕХ соединений.
потому что будет всегда срабатывать одно ваше правило (этого достаточно), проверка на интерфейс, даже не заходя в цепочки, но будет 100% выполнятся

как раз в цепочке INPUT  стоят "классические/стандартные правила" и вот их как раз таки не стоит трогать, иначе можно "выстрелить себе в ногу" 

по этому рекомендую фильтрацию уже после "классических/стандартных правил"

_NDM_FORWARD просто поинтересуйтесь составом этой цепочки там всего одно правило перехода на следующую цепочку
явно специально заготовленная цепочка - местодержатель, для таких случаев как здесь
с _NDM_INPUT думаю также, хотя там правил по более

зачем вам реагировать на широковещалку ?
а проц будет нагружатся

или например обращение на обратную петлю (lo) зачем фильтровать ?
а проц будет нагружатся

да не много нагружаться, но при большом трафике может с играть роль

просто надо держать тонкий баланс между паранойе и производительностью (здравым смыслом), доверяйте фильтрам от NDM

Исходный код Антискана полностью открыт. Предлагаю вам сделать pull request со своими правками.

Если все будет работать корректно, рассмотрю внедрение данных изменений в следующую мажорную версию.

[liliput-liliout]

57 минут назад, odin2 сказал:

уточняю, это ко мне предложение ?
я не в курсе что такое MR
у себя на роутерах я подправил правила и имена цепочек
просто хотел улучшить сам проект

merge request или pull request.

вот ваши правки, которые вы сделали, вы можете предложить автору antiscan'a для включения их в поставку для всех.

[FLK]

Сделайте PR действительно, автор проверит, потестируем - если все будет хорошо, применим)

Изменено вчера в 13:30 пользователем FLK

[MDP]

тогда нужны тесты ...было - стало

 

[FLK]

5 минут назад, MDP сказал:

тогда нужны тесты ...было - стало

 

мне кажется разница если и будет, она будет копеечная